Aydınlatma Metninizi Denetleyen Kişi Önce Neye Bakar

Bir kurumun aydınlatma metnini incelerken ilk yaptığım şey metni okumak değil. Metinde sayılan veri kategorilerini alıp veritabanı şemasıyla karşılaştırmak.

Bu karşılaştırma neredeyse her seferinde aynı sonucu veriyor. Metinde yazmayan alanlar var. Bazen tersi de oluyor, metinde sayılan ama sistemde hiç toplanmayan kategoriler bulunuyor. İkisi de aynı sorunun belirtisi. Metin, gerçeğin tespitinden değil bir şablondan türetilmiş.

Yükümlülük metin hazırlamak değil

Kanun'un 10. maddesi, veri sorumlusunun kişisel veriyi elde ederken belirli hususları bildirmesini arıyor. Kimliği, işleme amacı, aktarılacağı taraflar ve amacı, toplama yöntemi ve hukuki sebebi, bir de 11. maddedeki haklar.

Buradaki fiil bildirmek. Yani metin bir araç, yükümlülük ise doğru bilgiyi vermek. Yanlış bilgi veren bir metin, hiç metin olmamasından daha kötü bir konum yaratıyor, çünkü kurum artık gerçeğe aykırı bir beyanda bulunmuş oluyor.

Bu yüzden metin yazma işi envanterden sonra gelir. Envanteri olan kurum metni bir günde yazar. Olmayan kurum, ne yazdığını bilmeden yazar.

En sık gördüğüm beş hata

Birkaç yıldır aynı hataları görüyorum ve bunların hiçbiri hukuk bilgisi eksikliğinden kaynaklanmıyor.

Aydınlatma ile açık rızanın tek bir onay kutusunda birleştirilmesi. Kullanıcı "okudum, kabul ediyorum" diyerek hem aydınlatıldığını hem rıza verdiğini beyan ediyor. Aydınlatma bir bildirimdir ve kabul edilecek bir şey değildir. Bu birleştirme, rızanın ayrı bir irade beyanı olma niteliğini zedeliyor.

Metnin işlem tamamlandıktan sonra gösterilmesi. Form gönderiliyor, sonra teşekkür sayfasında aydınlatma metnine bağlantı çıkıyor. Veri o an zaten toplanmış oluyor.

Tek bir metnin bütün süreçlere uydurulması. İşe alım, müşteri iletişimi, tedarikçi ilişkisi ve web sitesi ziyareti aynı metinde toplanıyor. Sonuç, hiçbirini doğru anlatmayan bir genel metin oluyor.

Hukuki sebebin yazılmaması ya da hepsinin birden sayılması. "Kanun'un 5. ve 6. maddelerinde belirtilen şartlar çerçevesinde" ifadesi bir hukuki sebep göstermiyor. Hangi işleme hangi bende dayanıyorsa o yazılmalı.

Saklama süresinin belirtilmemesi. Tebliğ, ilgili kişiye verilecek bilgide bunun da yer almasını bekliyor ve süre yazılmadığında ilgili kişi ne kadar süreyle veri tutulacağını öğrenemiyor.

Metin nasıl kurulmalı

İyi bir aydınlatma metni süreç bazlı yazılıyor. Yani "şirketimiz kişisel verilerinizi işler" diye başlamıyor, "iletişim formunu doldurduğunuzda şu veriler işlenir" diye başlıyor.

Her süreç için dört kolonlu bir tablo çıkarmak işi kolaylaştırıyor. Veri kategorisi, işleme amacı, hukuki sebep, saklama süresi. Bu tablo hazırsa metin kendiliğinden yazılıyor ve okuyan kişi de aradığını bulabiliyor.

Dil meselesi de önemli. Tebliğ, bilginin açık, anlaşılır ve sade bir dille aktarılmasını arıyor. Uygulamada bunun tersini görüyoruz. Metinler uzuyor, cümleler ağırlaşıyor ve okunmaz hâle geliyor. Okunmayan bir metin, bildirim işlevini yerine getirmiyor. Sadeleştirmek burada bir üslup tercihi değil, yükümlülüğün gereği.

Metni güncel tutmak

Aydınlatma metni bir kez yazılıp unutulacak bir belge değil. Yeni bir alan eklendiğinde, yeni bir tedarikçiyle çalışılmaya başlandığında veya bir aktarım eklendiğinde metnin de güncellenmesi gerekiyor.

Bunu sürdürülebilir kılmanın tek yolu, güncellemeyi geliştirme sürecine bağlamak. Veri modeline yeni bir kişisel veri alanı ekleyen bir değişiklik, envanterin ve metnin de güncellenmesini tetiklemeli. Bu bağ kurulmadığında metin ilk yılın sonunda gerçeklikten kopuyor ve kimse fark etmiyor.

Kendi sitemizde bu bağı kurarken şunu yaptık. Yapay zekâ destekli analiz işlevini eklediğimizde, metne yurt dışı aktarımı anlatan ayrı bir bölüm girdi. O bölüm olmadan işlev yayına alınmadı. Sıralama böyle olmalı.